Access Server дээр веб гэрчилгээний алдаа: хоосон CA багц

DNS зөв шийдэгдэж байхад ачаалагдахгүй веб нэвтрэх хуудас нь ихэвчлэн DNS-ийн асуудал биш. Хэрэв үйлчилгээний лог багцын хоосон зам эсвэл веб гэрчилгээ болон хувийн түлхүүрийн PEM задлан шинжлэх алдааг дурдвал, HTTPS сонсогч ашиглах материалгүй бөгөөд нэр шийдэх нь тус болохгүй. Засвар нь гурван тохиргооны түлхүүрт байгаа бөгөөд VPN клиентийн гэрчилгээг дахин олгох шаардлагагүй.

Гурван түлхүүр юуг заадаг

Тохируулсан веб гэрчилгээний багцыг cs.cert, cs.priv_key болон cs.ca_bundle тодорхойлно. Тус бүр файлын зам хадгалж, веб үйлчилгээ гурвыг хамт ашиглана. Буруу түлхүүртэй гэрчилгээ эсвэл үнэндээ навчит гэрчилгээ болох гинжин файл нь хоосон утга шиг бүтэлгүйтдэг.

Эдгээр түлхүүр нь Admin болон Client веб интерфэйст хамаарна. Тэд VPN клиентүүдэд гэрчилгээ олгодог PKI-аас тусдаа, тиймээс солих нь профайл, серверийн түлхүүр эсвэл гэрчилгээний байгууллагад хүрэх шаардлагагүй. Бүх PKI-г дахин барих нь энд хамгийн үнэтэй алдаа.

Нэг ялгаа цаг хэмнэдэг: тодорхой хоосон тохируулсан утга нь огт дарж бичихгүй байхтай ижил төлөв биш. Эхнийх нь задлагчид хоосон зам өгдөг, логийн мөр үүнийг хэлдэг. Хоёр дахь нь Access Server-ийг өөрийн материалад үлдээдэг.

Одоо байгаа файл яагаад задлагдахгүй

Задлагч файлын нэрийг биш, файл доторх шошготой блокыг уншдаг. Хувийн түлхүүр агуулсан .crt, нэг блокоор бичсэн гинж эсвэл сүүлийн мөр таслагдсан файл бүгд татгалзагдана. RFC 7468 эдгээр шошгыг дараагийн объектын төрлийг хэлэх цорын ганц арга учраас тодорхойлдог.

Объектуудыг шалга, өргөтгөлийг биш. Linux дээр openssl x509 -noout -subject -issuer -in server.pem болон openssl pkey -noout -check -in key.pem хоёр чухал асуултад хариулж, модуль эсвэл нийтийн түлхүүрийг харьцуулах нь тэд хамт байгааг батална. Хувийн түлхүүрийн гаралтыг тасалбар болон чатын логоос хол байлга.

Хоосон зам нь гэмтсэн файлтай адил сэжигтэй, учир нь хоёулаа бүрхэг дараах алдаа өгдөг. Хэрэв лог багцын зам хоосон гэвэл, файлыг дибаг хийхийн өмнө хадгалсан утгыг унш.

Санамсаргүй буцах замаар буцах

Access Server-ийн CLI-д гурван замыг аргумент болгон авч, багц ашиглах боломжтой эсэхийг мэдээлдэг шалгалт байна. Доорх замууд жишээ; тэдгээрийг хост дээрх хамгаалагдсан байршлаар соль.

sacli --ca_bundle=/secure/webcerts/chain.pem \
      --cert=/secure/webcerts/server.pem \
      --priv_key=/secure/webcerts/key.pem TestWebCerts

Ажиллаж буй үйлчилгээнд хүрэхийн өмнө үр дүнг уншиж, дараа нь утгуудыг импортлоод суулгасан хувилбарын баримтжуулсан үйлдлээр хэрэглэ. албан ёсны CLI заавар шалгалт, импорт, хэрэглэх алхмыг хамардаг бөгөөд түүний хувилбар аливаа хураангуйгаас илүү чухал.

Хэрэглэгчдийн бичдэг нэрийг шалга

Тохируулсан материал эвдэрсэн бөгөөд хүчинтэй суурилагдсан нөөц байгаа бол баримтжуулсан сэргээлт нь гурван дарж бичилтийг устгаж, нөөцийг ашиглахыг зөвшөөрөх юм. Эхлээд консолын хандалт болон одоогийн тохиргооны нөөц хуулбарыг бүрдүүл.

sacli ConfigDel --key "cs.cert"
sacli ConfigDel --key "cs.priv_key"
sacli ConfigDel --key "cs.ca_bundle"
# then the supported apply/restart step for this version

Бүх тохиргооны санг устгах нь гэрчилгээний засвар биш. Тэдгээр гурван түлхүүрийг чиглүүлж, хэрэглэж, веб интерфэйс хариулж байгааг батал. web-ssl хавтасны өөрөө гарын үсэг зурсан файлууд нь нөөц нөөц, ажлын талбар биш.

Нөөц хүчин төгөлдөр болсны дараа хөтөч өөр гэрчилгээ харуулна гэж хүлээ. Энэ нь зөв үр дүн; итгэмжлэгдсэн захиргааны процессоор баталгаажуул.

Сэргээлт амжилттай нэвтрэлтээр дуусна

TCP сонсогч гарч ирэхэд сэргээлт дуусахгүй. DNS нэр, гэрчилгээний таних тэмдэг болон тухайн нэрийн гинжийг шалгаж, дараа нь Admin болон Client интерфэйсийг ачаалж нэвтрэлтийг гүйцээ. Порт шалгалт эдгээрийн аль нэгийг ч батлахгүй.

Access Server 3.1 ба дараагийн хувилбарууд SNI хост нэр тус бүрд өөр веб гэрчилгээ үйлчилж болно. Хэрэв тохируулсан бол анхдагч түлхүүрүүд болон нэрэнд хамаарах бичлэгүүд нь тусдаа багц бөгөөд IP хаягаар шалгах нь хэрэглэгчдийн авдагаас өөр гэрчилгээ харуулж болно. Алдаа гарсан нэрийн багцыг засч шалгаад, тохиолдлыг хаахаас өмнө нэвтрэлтийн шалгалтыг давт.